Note A : 90 points et plus
Votre site, noté de A à F.
Collez une adresse. Nous lisons ses en-têtes, son certificat, son DNS et ses cookies, puis nous écrivons ce qu'il faut changer.
Analyse passive : des requêtes GET et HEAD, rien d'autre.
Note B : de 80 à 89 points
Recalculez une note.
Cochez ce qui manque à un site. Le calcul est celui de nos rapports, au dixième de point près.
Les deux plafonds et le détail des calculs sont dans le barème.
Résultat
Note B, 80 sur 100.
Note C : de 70 à 79 points
Six familles, cent points.
Chaque scan part de 100. Un constat retire une part du poids de sa famille : 40 % s'il est élevé, 20 % s'il est moyen, 8 % s'il est faible.
En-têtes de sécurité30 points
Content-Security-Policy analysée directive par directive, HSTS, nosniff, protection contre l'encadrement, Referrer-Policy, Permissions-Policy, en-têtes bavards.
TLS et certificat20 points
Disponibilité de HTTPS, redirection effective, expiration du certificat, couverture du nom, chaîne complète, versions de protocole acceptées.
DNS et e-mail20 points
SPF et ses limites de résolution, DMARC et sa politique, DKIM, DNSSEC, CAA, présence de MX.
Exposition15 points
Chemins publics bien connus : .env, .git, sauvegardes, phpinfo, listage de répertoire, security.txt.
Cookies10 points
Secure, HttpOnly, SameSite, portée du domaine — avec une attention particulière aux cookies qui ressemblent à une session.
Contenu de la page5 points
Contenu mixte, liens target="_blank" sans noopener, formulaires en clair, scripts tiers sans SRI, commentaires bavards.
Note D : de 55 à 69 points
Seulement GET et HEAD.
- 40 requêtes au plus
- une par seconde vers un même domaine
- de dix secondes à une minute
Aucune injection, aucun fuzzing, aucune force brute, aucune tentative d'authentification, aucun test de charge. Rien qui modifie l'état du site analysé : c'est ce qui permet d'analyser n'importe quelle adresse publique, comme le font SSL Labs ou Mozilla Observatory.
Note E : de 40 à 54 points
Nous ne devinons pas.
Une analyse passive observe des en-têtes et des enregistrements : elle ne prouve pas une vulnérabilité. Quand un contrôle ne peut pas conclure, le rapport écrit « non déterminé », pas « absent ». Et chaque constat porte la preuve observée, à côté de la ligne exacte à changer.
Chaque rapport peut être publié sous une URL courte, lisible sans compte — pratique pour l'envoyer à l'hébergeur ou au prestataire qui doit corriger.
Aucun Strict-Transport-Security
En-têtes de sécurité · élevé · −12 points
Preuve observée
{
"strict-transport-security": null
}À changer
Servez Strict-Transport-Security: max-age=63072000; includeSubDomains. Sans HSTS, la toute première visite se fait en clair et peut être détournée avant même la redirection vers HTTPS.
Note F : moins de 40 points
Et si c'est F ?
Chaque constat dit quoi changer. Corrigez, puis relancez le scan : un crédit, rendu si l'analyse échoue.
1 € le crédit, ou un abonnement dès 9 € par mois.
Bloqué quelque part ? Écrivez-nous.
Scan, compte, paiement ou demande d'exclusion : choisissez un motif, nous vous répondons par e-mail.
Avant d'écrire
Mon scan a échoué. Ai-je perdu un crédit ?
Non. Un scan qui échoue rend automatiquement son crédit, visible dans l'historique de la page Compte. Relancez-le : s'il échoue encore sur le même site, écrivez-nous depuis la page du scan, sa référence sera jointe.
Je n'ai pas reçu l'e-mail de confirmation.
Vérifiez les courriers indésirables : il part d'une adresse d'envoi automatique. Toujours rien au bout de quelques minutes ? Écrivez-nous avec l'adresse utilisée, nous vérifierons l'état du compte.
J'ai payé, mais mes crédits n'apparaissent pas.
Les crédits sont ajoutés quand Stripe confirme le paiement, en général en quelques secondes. Rafraîchissez la page Compte. Au-delà de quelques minutes, écrivez-nous avec le motif « Paiement » : nous retrouverons la transaction.
Comment exclure mon site du scanner ?
Choisissez le motif « Exclusion » et écrivez depuis une adresse du domaine concerné : c'est ce qui nous permet de vérifier que la demande vient bien du propriétaire du site.
Nous écrire
Choisissez un motif : le bon contexte nous évite un aller-retour.